AI 정책을 실제 운영 통제로 자동 전환…리스크 매핑부터 평가·완화·배포까지 연결
레드햇이 AI 거버넌스 정책을 실제 운영 가능한 안전 통제 체계로 자동 전환하는 오픈소스 커뮤니티 프로젝트 ‘아사고(asago, AI Safety And Governance Orchestration)’를 출범했다.
레드햇은 아사고를 통해 엔지니어링팀과 컴플라이언스팀에 분산돼 있던 절차와 도구, 요구사항을 하나로 연결하고 자동화·감사·추적이 가능한 AI 거버넌스 워크플로우를 구축한다고 밝혔다.
아사고는 기업이나 규제기관이 정의한 AI 거버넌스 정책을 실제 운영 환경에서 적용할 수 있는 통제 체계로 전환하는 것을 목표로 한다. 정책 수립과 실제 AI 시스템 운영 사이의 간극을 줄여 프로덕션 환경에 적용 가능한 AI 시스템 구축 기간을 단축한다는 구상이다.
이번 프로젝트는 레드햇과 엔비디아가 오픈 시큐어 AI 얼라이언스(Open Secure AI Alliance) 회원사로 추진해 온 협력의 연장선에서 진행된다.
정책 분석부터 프로덕션 배포까지 4단계 자동화
업체 측에 따르면, 아사고는 AI 거버넌스 정책을 △리스크 매핑 △리스크 평가 △리스크 완화 △프로덕션 배포 등 네 단계에 걸쳐 실제 운영 환경과 연결한다.
먼저 리스크 매핑 단계에서는 업로드된 AI 거버넌스 정책을 분석해 조직의 요구사항을 NIST AI RMF, OWASP LLM Top 10, IBM AI 리스크 아틀라스 등을 활용한 EU AI법 등 검증된 리스크 프레임워크와 표준에 매핑한다. 이후 이를 실제 적용 가능한 리스크 프로파일로 변환한다.
리스크 평가 단계에서는 식별된 위험을 기반으로 사용 사례별 AI 안전성 테스트 시나리오를 자동 생성하고 실행한다. 범용 벤치마크에만 의존하지 않고 실제 운영 과정에서 유해한 동작이 발생할 가능성을 중심으로 시스템을 평가한다.
평가 결과를 기반으로 안전 가드레일 등 위험 완화 방안을 제안하고, 적용 근거와 감사 추적 기록도 생성한다. 마지막으로 권장 통제 방안을 하이브리드 클라우드와 쿠버네티스 등 다양한 환경에 배포할 수 있는 구성으로 전환한다.
각 단계에서는 정책 조항과 테스트 결과, 실제 운영 중인 통제 체계를 연결하는 감사 추적 기록이 생성된다. 이를 통해 어떤 통제가 어떤 정책과 위험을 근거로 적용됐는지 확인할 수 있도록 한다는 설명이다.
AI 정책과 실제 운영 간 ‘거버넌스 간극’ 해소
레드햇은 AI 도입이 실험 단계를 넘어 자율형 에이전트와 기업용 대규모언어모델(LLM)의 실제 운영으로 확대되면서 정책과 운영 환경 사이의 간극이 새로운 과제로 떠오르고 있다고 전했다.
컴플라이언스 담당자는 리스크 평가와 검증 가능한 근거를 요구하는 반면 플랫폼 엔지니어는 기존 데브옵스(DevOps)와 깃옵스(GitOps) 환경에서 관리할 수 있는 구조화된 설정이 필요하다. EU AI법 등 규제가 확대되면서 이 과정을 수작업으로 연결할 경우 검토 기간이 길어지고, 반대로 적절한 통제가 없는 ‘섀도우 AI(Shadow AI)’가 확산될 가능성도 있다는 것이다.
아사고는 컴플라이언스팀과 데이터 과학자, 인프라 관리자 등이 함께 사용할 수 있는 단일 개방형 표준을 제공해 이러한 문제를 해결한다는 계획이다.
주요 기능에는 수작업 정책 해석과 커스텀 스크립트를 통합 워크플로우로 대체하는 자동화 기능과 정책 담당자·CIO·AI 개발자·플랫폼 엔지니어·외부 감사인이 함께 사용할 수 있는 통합 감사 추적 기능이 포함된다.
아파치 라이선스 2.0(Apache License 2.0) 기반 오픈소스로 공개되며, 쿠버네티스와 테라폼(Terraform), 앤서블(Ansible)용 선언형 구성을 지원해 멀티클라우드와 온프레미스 환경에서도 일관된 AI 안전 정책을 적용할 수 있도록 한다.
마이크로소프트·IBM·엔비디아 등 산업·학계 참여
아사고 프로젝트에는 레드햇을 비롯해 알퀴미아 AI, 브레이브 소프트웨어, EvalEval 연합, IBM 리서치, 오스트리아 인터디시플리너리 트랜스포메이션 대학교, 마이크로소프트, MIT 링컨 연구소, 노스캐롤라이나 주립대학교, 엔비디아, 앨런 튜링 연구소 등이 참여한다.
참여 기관들은 AI 안전 연구와 엔터프라이즈 소프트웨어 엔지니어링, 적대적 머신러닝, 규제·컴플라이언스 분야의 전문성을 결합해 프로젝트를 공동 개발할 예정이다.
아사고는 기존 오픈소스 도구와 연동해 각 도구 사이의 운영 공백을 줄이는 데 초점을 맞춘다. 실제 운영 환경에 적용되는 통제가 어떤 정책에 근거했는지를 추적하고, 기업의 AI 포트폴리오 전반에서 지속적인 검증 체계를 구축할 수 있도록 지원한다.
스티븐 훌스 레드햇 AI 엔지니어링 부문 부사장은 “기업이 AI 파일럿에서 장기간 운영되는 자율 에이전트로 이동하면서 명확한 운영 가드레일이 핵심 인프라 요건이 되고 있다”며, “아사고는 기업의 정책 정의와 실제 운영 중인 에이전트를 자동으로 연결해 하이브리드 클라우드 전반에서 신뢰할 수 있는 AI를 확장할 수 있도록 지원한다”고 말했다.
사라 버드 마이크로소프트 책임 있는 AI 부문 최고제품책임자는 “AI 안전과 보안은 어느 한 기업이나 기관만으로 해결하기 어려운 과제”라며, “개방형 표준과 커뮤니티 협업을 통해 AI 생태계 전반에 보다 일관된 거버넌스를 구축할 수 있을 것”이라고 말했다.
<저작권자(c)스마트앤컴퍼니. 무단전재-재배포금지>
